基于网闸技术的高速铁路地震预警监测系统安全性研究

李京生，张 湜，赵 林

（1.中国铁道科学研究院 研究生部，北京 100081；2.中国铁路沈阳局集团有限公司 沈阳车务段，辽宁沈阳 110000；3.中国铁道科学研究院集团有限公司 铁道科学技术研究发展中心，北京 100081）

1 概述

地震是一种危害很大的自然灾害，尤其是对高速铁路而言，即使是较小震级的地震，也可能会导致列车运行发生重大安全事故。我国高速铁路地震预警系统由高速铁路地震预警监测系统和车载地震紧急处置装置 2 部分组成，可以有效地防止或减轻地震灾害给铁路运输安全带来的影响，避免重大的人员伤亡和经济损失[1-2]。目前我国高速铁路地震预警监测系统、地震监测台站主要布设在铁路沿线，其监测的范围有限。相对于地震台网监测到的数据而言，铁路沿线地震台站很难精确地测定地震数据[3]。

为充分整合利用多种地震资源信息，获取更全面和精确的地震数据，中国高速铁路地震预警系统需要与地震台网互联，实现数据共享[4]。由于高速铁路地震预警监测系统采用铁路传输系统组网，需要通过互联网才能与地震台网交换数据[5]，因而如何保证数据在铁路内网和铁路外网之间交换的安全性和完整性，以及如何保证铁路内网的安全是需要解决的重要问题之一。为此，对高速铁路地震预警监测系统进行架构安全性分析，同时对其进行功能安全性分析、安全需求分析和数据交换安全性分析，并分析网闸的组成及其原理，将其应用于高速铁路地震预警监测系统与地震台网的互联中，从而确保高速铁路地震预警监测系统与地震台网之间数据交换的安全性，同时保证铁路内网的安全。

2 高速铁路地震预警监测系统安全性分析

高速铁路地震预警监测系统采用铁路传输系统组网，需要经过互联网与地震台网交换数据，这种跨不同安全等级网络之间的数据交换安全性及铁路内网的安全即需要得到保证。

2.1 架构安全性分析

高速铁路地震预警监测系统采用二级架构，第 1 级为铁路局集团公司中心系统，第 2 级为现场监测设备。铁路局集团公司中心系统硬件设备中的台网接口服务器是用于与地震台网进行数据交互[5]。台网接口服务器作为铁路局集团公司中心系统内的接口之一，与铁路内网相连，一旦遭到攻击，将会造成很大损失。在台网接口服务器的另一侧则是公众电信运营商专线，此为铁路外网。

网闸又称安全隔离与信息交换系统，它可以在断开 2 个不同安全等级网络的物理连接和网络协议的同时，以信息“摆渡”的方式，实现 2 个网络间的数据交换。网闸由外网处理单元、内网处理单元和安全隔离硬件 3 部分组成，其中安全隔离硬件包括固态存储介质和调度控制电路[6]。由于互联网是基于 TCP/IP 来实现的，因而断开 TCP/IP 连接，就可以防止产生漏洞，进而防止网络遭受攻击，而网闸技术正是使内外网不能同时连通，并且切断了两侧网络间的 TCP/IP 连接，使之不能直接进行网络协议通讯而实现的。

网闸应部署在台网接口服务器之外，以抵御来自铁路外网的攻击，保证铁路内网及数据交换的安全。网闸的内网处理单元与高速铁路地震预警监测系统相连，外网处理单元与互联网相连。通过部署网闸，可以保证在同一时刻只有高速铁路地震预警监测系统与网闸之间有非 TCP/IP 协议的数据连接，或互联网与网闸之间有非 TCP/IP 协议的数据连接，而高速铁路地震预警监测系统与互联网不会直接相连，从而保证了高速铁路地震预警监测系统与地震台网交换数据的安全性及铁路内网的安全。网闸在高速铁路地震预警监测系统中的部署如图1所示。

2.2 功能安全性分析

中国高速铁路地震预警系统有P波预警和阈值报警功能，可以在地震发生后，破坏性地震波尚未来袭的数秒至数十秒之前发出报警信号，使高速列车尽快减速或停车。通过高速铁路沿线地震台站与国家地震台网互联，可以实现本地报警和异地预警。高速铁路地震预警监测系统作为中国高速铁路地震预警系统组成部分之一，可以由实时测定的地震参数及快速估算的地震基本参数确定地震影响范围和警报等级，在破坏性地震波到达之前，向地震影响范围内的铁路发布地震紧急处置信息，并触发铁路相关系统联动，使运行的列车采取限速或停车措施；如果是误报，则在对预警信息的真实性进行判别后自动发布误报解除信息，或者通过人工操作进行地震警报解除。

图1 网闸在高速铁路地震预警监测系统中的部署Fig.1 Gap and it’s deployment in high-speed railway earthquake early-warning and monitoring system

一套有效的高速铁路地震预警监测系统，可以减少由地震造成的列车脱轨、倾覆等列车运行安全重大事故，使列车在地震灾害发生时的损失程度大大降低。在高速铁路地震预警监测系统运行过程中，一旦遭到网络攻击或其他原因，导致数据交换出现问题而影响其发挥功能，将会降低高速铁路地震预警监测系统的可靠性。因此，只有在保证高速铁路地震预警监测系统的网络安全和数据交换安全性的前提下，才能进一步保证其功能的发挥。

2.3 安全需求分析

网络之间的数据交换都是基于 TCP/IP 来实现的。所有的攻击，都可以归纳为对 TCP/IP 数据通信模型的某一层或多层的攻击，因而断开 TCP/IP数据通信模型的所有连接，就可以消除 TCP/IP 网络存在的攻击。在高速铁路地震预警监测系统经过互联网与地震台网交换数据时，为保证铁路内网不遭受来自互联网的攻击，以及铁路内网的敏感信息不遭到泄露，需要断开铁路内网与互联网的连接。但是断开网络连接之后，高速铁路地震预警监测系统与地震台网之间的数据交换又无法得到保证。因此，在断开铁路内网和互联网连接的同时，保证高速铁路地震预警监测系统与地震台网进行数据交换成为迫切需要解决的问题。

传统的网络安全防护手段和方法，如防火墙、入侵检测等虽然在一定程度上缓解了网络安全问题，但由于它们还是和网络相连，因而无法对内部网络做更深入的安全防护，无法从根本上保证内网的安全。网闸技术是一种能够保证内外网隔离的同时，又能够实现数据交换的安全设备，弥补了传统安全防护方式的不足[7]。网闸可以在彻底中断网络连接和剥离网络协议的基础上，将剥离协议后的原始数据以“摆渡”的方式完成数据交换，之后再重新封装成需要的数据，这样可以实现在网络断开的情况下完成数据的交换。

2.4 数据交换安全性

高速铁路地震预警监测系统与地震台网之间的数据交换分为没有数据交换和存在数据交换 2 种情形。高速铁路地震预警监测系统与地震台网之间的数据交换过程如下。

（1）当高速铁路地震预警监测系统与地震台网之间没有数据交换时，如果没有网闸，铁路内网和铁路外网之间还是连通的，有被入侵或被攻击的风险；而部署网闸之后，地震台网和高速铁路地震预警监测系统是完全断开的[8]，此时两侧网络之间没有连通，并且也没有 TCP/IP 连接，进而不能直接进行网络协议通讯，从而保证了没有数据交换时的安全性。

（2）当高速铁路地震预警监测系统与地震台网需要进行数据交换时，如果没有网闸，铁路内网和铁路外网是连通的，无法保证高速铁路地震预警监测系统和地震台网之间的物理隔离，以及铁路内网的安全，也无法保证数据在交换过程中的安全性；而部署网闸之后，安全隔离硬件中的调度控制电路，会控制固态存储介质在同一时刻只与外网处理单元或内网处理单元中的一端相连，而另一端是断开的，这种设计能保证固态存储介质在任一时刻仅连通一侧网络，使得高速铁路地震预警监测系统与地震台网永不相连，从而保证了高速铁路地震预警监测系统和地震台网之间的物理隔离及数据交换的安全性。

当数据需要从高速铁路地震预警监测系统向地震台网传输时，内网处理单元发起对安全隔离硬件的非 TCP/IP 协议数据连接，待所有的协议剥离之后，将原始数据写入固态存储介质。当数据写入固态存储介质后，安全隔离硬件会立即中断与内网处理单元的连接，转而发起对外网处理单元的非 TCP/IP 协议数据连接，并将固态存储介质中的数据推向外网处理单元。当外网处理单元收到数据后，立即进行 TCP/IP 和应用协议的封装，并将封装好的数据传给外网，待数据传输完成后，网闸会立即切断与外网的连接[9]。当数据需要从地震台网向高速铁路地震预警监测系统传输时，数据交换过程与前者相似。

由网闸工作原理，以及高速铁路地震预警监测系统与地震台网之间的数据交换过程可以看出，不论是哪种数据交换情形，数据交换的安全性都可以得到保证。

3 结束语

目前人类还不能准确地预报地震，虽然地震预警提供的时间很短，但足以让列车减速或停车，避免或减轻损失。将网闸技术应用于高速铁路地震预警监测系统，能够在保证铁路内网和铁路外网隔离的同时实现数据的安全交换，既满足跨不同安全等级网络之间数据安全交换的需求，同时也保证铁路内网的安全。